Kaj morate vedeti o penetracijskih testih?

Penetracijski testi so sestavni del celovitega načrta zagotavljanja kibernetske varnosti. Bistvenega pomena je, da obrambne sisteme preizkusijo pravi profesionalci, saj je le tako moč najti in odpraviti različne ranljivosti in slabosti.

Penetracijski test je postopek, s katerim tretja oseba oziroma organizacija preveri zmožnost varnostnih zaščit podjetja. Gre za naložbo v kibernetsko in informacijsko varnost. A tudi penetracijski testi med seboj niso enaki, zato velja vedeti, kaj si podjetja sploh želijo, preveriti, kakšnega izvajalca najemajo, kako o testu komunicirajo v podjetju in kaj bodo z rezultati. Pojdimo lepo po vrsti.

Odločitev o cilju ali ciljih

Ko se podjetje odloči, da bo najelo zunanje strokovnjake za preizkus svojih varnostnih mehanizmov in rešitev, se težko upre skušnjavi in naroči preizkus »vsega«. Napaka. Penetracijski testi so ciljne vaje. Cilj je seveda lahko velik: preizkus IT-okolja ali omrežja. Podjetje se mora iskreno izprašati, zakaj naroča penetracijski test. Nekatera ga morajo opraviti zato, da zadostijo zahtevam regulatorjev in/ali zakonodaje, spet druga zato, da bi ugotovila, kaj je šlo narobe ob zadnjem vdoru v podjetje. Seveda se bodo ti penetracijski testi močno razlikovali, predvsem pa postregli z drugačnimi podatki in zaključki. Podjetje mora zato izvajalcu penetracijskega testa jasno izraziti namen preizkusa, s katerim se morata nato obe strani strinjati (in ga pisno potrditi).

Preverjanje referenc

Upoštevaje, da bo skupina ljudi pri izvajalcu poskušala prebiti obrambo podjetja, mora podjetje seveda vedeti, da gre za etično skupino ljudi. Tega pa ne more izvedeti iz brošure ali grafično lepo urejene spletne strani. To lahko izve le od pogovorov z drugimi podjetji, ki so tak preizkus že naročila in izkusila. Priklic podjetij, ki jih navaja ponudnik kot reference, in preverjanje izkušenj naj bo na vrstnem redu še pred podpisom pogodbe o izvedbi penetracijskega testa. Stranke vprašajte, kako zadovoljne so bile z delom ponudnika (posebej če je penetracijski test vseboval preizkus s socialnim inženiringom), kako je ta poznal njihovo okolje in kako je pripomogel k izboljšanju varnosti.

Penetracijski test je naložba v kibernetsko in informacijsko varnost poslovanja.

Zavarovanje odgovornosti

Ob gradnji objekta se uporabljajo le materiali (beton, jeklo, aluminij in podobni), ki so prestali določene preizkuse. Pri penetracijskem testu pa je drugače, saj lahko povzroči kritično okvaro produkcijskega sistema. Prav zato mora naročnik poskrbeti za ustrezno zavarovanje odgovornosti za kritje nenačrtovanih posledic preizkusa varnostnih rešitev. Te lahko pridobi pri zavarovalnici (nekatere že nudijo zavarovanja s področja kibernetskih napadov) ali pri izvajalcu. V obeh primerih naj bodo podrobnosti preizkusa predstavljene zavarovalnici oziroma pisno potrjene z obeh strani. Žal večina podjetij na tovrstno zavarovanje niti ne pomisli, dokler ga ne potrebuje.

Podrobnosti preizkusa

Ko bodo vsi testni parametri dogovorjeni, mora podjetje z izvajalcem doreči še, kako bo penetracijski test izvedla v praksi. Informatiki in varnostni inženirji, ki branijo omrežje in sisteme podjetja, verjetno o njem ne bodo niti obveščeni, toda vodstvo podjetja bi moralo imeti zelo jasno in natančno predstavo o tem, kaj se bo zgodilo.

Spremljanje preizkusa

Vodstvo pogosto prejme le končno poročilo o rezultatih penetracijskega testa. Povsem drugače pa je, če lahko testni napad (in odziv) spremlja v realnem času in nato zaposlenim ob analizi postreže s komentarji. Nekateri izvajalci naročniku omogočijo, da sproti spremlja izvajanje penetracijskega testa. Sicer pa velja vztrajati pri tem, da se spremlja in beleži vse, kar se zgodi med njim.

Izdelava načrta nadgradnje obrambe

Nekatera podjetja zgolj shranijo ugotovitve ob zaključku penetracijskega testa oziroma jih pošljejo revizorjem, toda rezultate velja uporabiti za nadgradnjo varnostnih in obrambnih mehanizmov. Na vseh napravah in pri vseh zaposlenih v podjetju. Ugotovitve preizkusa je modro ustrezno predstaviti prav vsakemu zaposlenemu in preveriti, kaj se da na njegovem delovnem mestu izboljšati v prid večji kibernetski varnosti. Seveda varnostni strokovnjaki in IT-osebje dobijo bolj podrobno tolmačenje rezultatov, posamezne skupine zaposlenih pa priporočila, kako bolje opravljati delo v prid večji varnosti.

Vodstvo podjetja pričakuje poročilo o penetracijskem testu v poslovnem jeziku. Želi vedeti, kako sta se odrezala varnostno osebje in oprema ter kaj bi veljalo v prihodnje storiti za izboljšanje stanja varnosti v podjetju (in koliko bo to podjetje stalo). Penetracijski test je vendarle nujna naložba v varnost poslovanja.

Sestavni deli penetracijskega testa.